查询字符串中的安全半敏感信息

Question

如果我用这样的形式制作一个经典网站：

<form method="GET" action="page2.php">
  <input name="email" />
</form>

然后电子邮件将在地址栏中可见；

www.example.com/[email protected]

，我们有

POST

来隐藏它。

<form method="POST">

并且您在浏览器地址栏中无法再清楚地看到它。

我想知道这是否意味着从网站 A (httpS://) 链接到网站 B:

httpS://www.other-domain.com/[email protected]

然后网站 B 获取电子邮件并直接隐藏它会是安全的吗？因为它实际上与上面的 GET 示例相同？

或者这是否不安全，因为单击链接时查询字符串可用于 DNS 服务器？如果您已经在某个页面，那么提交表单后也许不需要再次进行任何 DNS 查找 - 从而不会泄漏信息？

两个网站都使用 SSL/HTTPS，并且两个网站都是自有且可信的。

澄清一下，我主要感兴趣的是，这样做是否会导致信息在网络连接中泄露。

Answer 1

重点是要了解游戏的内容以及我们希望通过不允许将敏感数据放入 URL 和获取请求来实现什么。

原因是，即使我们使用 TLS 并加密通信通道，在解密消息后沿途的每个反向代理/负载均衡器都将被允许注销请求标头以进行调试。这可能会将敏感信息传播到不应出现的地方。

另一个问题是，人们可能会分享他们在浏览器选项卡中找到的 URL，只是因为他们可以，这就是为什么我们认为 URL 中的秘密是一个设计缺陷。

无论如何，查询字符串都不会提供给 DNS 服务器。

如您所见，如果您决定通过这样的 GET 请求传递电子邮件，世界不会被烧毁。这更像是如果你可以没有，那就没有。